LINUX.ORG.RU
ФорумTalks

Безопасность Linux преувеличена (адаптация статей специалиста по безопасности)

 , , , ,


3

3

Господа и дамы, кто еще не видел блог одного из основных разработчиков Whonix, очень рекомендую ознакомиться. Прочитав его блог, я подготовил для Вас несколько ключевых тезисов автора, изложенных в статье о линуксе. Заранее приношу извенения за орфографические и пунктуационные ошибки. Очень спешил с Вами поделиться информацией.

  • Распространено заблуждение (которое, к слову, является одной из основных причин, которые можно услышать от линукс блоггеров и пользователей, в качестве аргумента «за» переход на линукс - мое примечание), что дистрибутивы линукс (я буду дальше писать просто «линукс», понимая под этим гну+линукс и просто линукс) безопаснее по сравнению с виндовс и макос. Это далеко не так.

  • На самом деле разработка ядра линукс и компонентов линукс систем изначально не предусматривала сколько нибудь серьезных мер безопасности, а все попытки, которые мы видим сегодня для создания этой самой безопасности - это просто попытки (SELinux, AppArmor, Firejail, Flatpak и т.д). Сравнивать их с серьезными и продуманными решениями на виндовс и макос (вроде TPM, полноценной работы Secure Boot, защитников приложений, жесткого разграничения памяти, разработки важных системных компонентов для safe memory япах, подписи приложений, система разграничения прав) не имеет смысла. Хотя и там есть свои проблемы, но линукс остается чемпионом по отсутствию безопасности.

  • Сендбоксинг в линукс на примере Firejail неэффективен из-за множественных дыр для повышения привелегий внутри боксов.

  • Ядро линукс это самая небезопасная программа, которая существует в современном мире.

  • Заблуждение считать дистрибутивы линукс с релизной моделью выпуска более безопасными, т.к. на примере дебиан, который бекпортирует секьюрити фиксы на замороженные версии софта, в лучшем случае разработчики дистрибутива бекпортируют какие-то баги безопасности, которым присвоены CVE, но а) это далеко не все CVE, б) множеству уязвимостей по разными причинам не присваивают CVE и для них разработчики дебиан и не чешутся (по какой причине - очевидно - мое примечание), в) бекпортирование фиксов производится людьми (и их много), которые могут слабо понимать код и намерения создателя софта, что приводит к образованию еще больших уязвимостей.

  • Среди дистрибутивов линукс более разумной моделью организации безопасности «запретить все, что не разрешено» или «белые списки» обладают дистрибутивы из семейства RHEL (RHEL, Fedora, CentOS).

  • Любые действия по улучшению безопасности на стороне пользователя (вроде тех, что можно встретить на просторах интернета, в разных статьях, арч вики, генту вики и прочих - мое примечание) абсолютно недостаточны для закрытия значительных архитектурных дыр линукса.

И немного о том, что автор думает о браузерах как об основной программе, которую используют на десктопе.

  • Фаерфокс небезопасна по причине отсутствия современных и серьезных политик по созданию этой безопасности. Даже переписывание части кода на rust не спасает ситуацию.

  • Использовать браузер для чтения почты неблагоразумно.

  • В фаерфоксе, несмотря на использование изоляции, таковая не предусмотрена для сайтов индивидуально, что позволяет эксплойтам, развернутыми на одних сайтах, захватить вашу информацию с других сайтов, которые работает как было отмечено автором в одной песочнице.

  • Система X11 значительно усугубляет ситуацию с браузерами из-за вседозволенности программ по перехвату данных друг между другом внутри одной сессии.

  • В линуксе отсутствует как таковая изоляция процессов гпу (привет долгожданные аппаратные ускорения видео в браузерах и webgl - мое примечание).

  • В фаерфоксе аллокатор памяти полностью заточен на производительность и лишен сколько-нибудь адекватных инструментов безопасности.

  • Во многих браузерах используется JIT для улучшения производительности, что открывает простор для атак, которые на корню пресекаются техникой W^X (запись ИЛИ исполнение). Хромиум и основанные на нем браузеры уже в достаточной степени адаптировали свои техники по снижению области атак по JIT, но в фаерфоксе по этому направлению все очень плохо.

  • Если вы заинтересованы в использовании безопасного бразуера автор для десктопа рекомендует chromium, brave, microsoft edge.

  • Если Вам нужно готовое решение для приватного серфинга, то единственное решения на сегодня это TOR Browser. Пользовательские попытки по созданию из других браузеров TOR Browser ничем хорошим не закончятся для пользователя.

В блоге есть еще мысли про другие важные в повседневной жизни при использовании электронных устройств вещи, вроде мессенджеров, шифрования dns и прочего.

Еще автор затрагивает тему OpenBSD. По его мнению там безопасность тоже приувеличена, не говоря уже про остальные BSD. При этом автор более высоко оценивает HardenedBSD.

Что думаете, уважаемые форумчане? У Вас открылись глаза на какие-то аспекты линукса? Вы и раньше знали, что линукс менее безопасен по своей природе чем виндовс/макос/андройд/ios, но все равно сделали выбор в пользу линукса? Или же вы сделали этот выбор на основе распространенных заблуждений о его безопасности? Бесплатность линукса сыграла роль в Вашем выборе? Делитесь Вашими впечатлениями.

От себя хочу добавить, что благие намерения многих дистрибутивов линукс и свободного софта по обеспечению приватности пользователей разбиваются о скалы из-за упомянутых проблем безопасности. Какой смысл делать свободные приватные мессенджеры с E2E шифрованием, если из-за множественных системных дыр и дыр в приложениях всю информацию из этого мессенджера у Вас могут получить третьи лица? Я считаю, что приватность без должной безопасности просто не существует.

Еще мне не совсем понятно, что же такого в TOR Browser, что по мнению автора его стоит использовать, а Фаерфокс нет. Неужели в ТБ такие серьезные меры предприняты по обеспечению безопасности и приватности, что даже упомянутые автором недостатоки ФФ не мешают ему быть № 1?

Перемещено Zhbert из general

Белка-истеричка считает, что за каждым сферическим Васяном охотятся по 4 хак группы и 5 разведок сразу.

devl547 ★★★★★ ()

Что думаете, уважаемые форумчане? У Вас открылись глаза на какие-то аспекты линукса? Вы и раньше знали, что линукс менее безопасен по своей природе чем виндовс/макос/андройд/ios, но все равно сделали выбор в пользу линукса? Или же вы сделали этот выбор на основе распространенных заблуждений о его безопасности? Бесплатность линукса сыграла роль в Вашем выборе? Делитесь Вашими впечатлениями.

А когда ты видишь на заборе матерное слово, ты нервно вскрикиваешь, хватаешься за голову и спешно проверяешь штаны, вдруг чо?

Zhbert ★★★★★ ()
Ответ на: комментарий от devl547

Уважаемы форумчане. Я понимаю, что каждый из Вас считает себя тем самым Джор, но в теме я все же предлагаю обсудить не Джо, а вполне реальные проблемы безопасности в некоторм отрыве от Джо. Ведь если бы проблем было меньше или их вообще бы не было, то на Джо ссылаться бы не имело смысла. Можно было бы сказать, что даже если Вас найдут, экономически смысла Вас атаковать нет. Но это не так.

Shonad ()
Ответ на: комментарий от Zhbert

Если Вы считаете, что мнение специалиста по безопасности, который сам не один десяток лет в линуксе, и мнение других специалистов, которые приводятся в статьях, это надпись на заборе, то любую тему можно прекратить. Если Вы специалист в этой области, приведите, пожалуйста, адекватные контраргументы. В противном случае именно Ваш пост выглядит как те самые словам на заборе.

Держите себя в руках, Вы же модератор.

Shonad ()
Ответ на: комментарий от Shonad

Держите себя в руках, Вы же модератор.

Как это выглядит со стороны - ты пришел, принес какую-то портянку, ценность которой сомнительна, и предлагаешь это обсуждать. Зачем?

Zhbert ★★★★★ ()
Ответ на: комментарий от Vsevolod-linuxoid

А теперь почитай те же статьи экспертов о том, как легко ломать Windows.

С этим он на винфак пойдет, наверное.

Zhbert ★★★★★ ()

Что думаете, уважаемые форумчане?

  • новорег
  • флеймогонная первая созданная тема
  • отсылка к дистрибутиву определённой направленности
  • тезисы которые не поддаются однозначной трактовке

Провокация и тов. Майор.

vvn_black ★★★★★ ()
Последнее исправление: vvn_black (всего исправлений: 2)

Мм, как то категорично. В тексте так и читается «Пользуйся виндой сцуко и не умничай со своим линуксом»

karton1 ★★★★★ ()
Ответ на: комментарий от Zhbert

Еще раз, поясните, молодой человек, как Вы оцениваете ценность «портянки»? Вы специалист? Покажите диплом, Ваши достижения? Есть таковые, что позволит Вам вот так вот безапелляционно заявлять, что имеет смысл, а что нет? Я так не думаю. Поэтому ведите нормальную дискуссию. Еще раз, Вы модератор, хотя и новый и неопытный еще. Сохраняйте нейтралитет.

Shonad ()
Ответ на: комментарий от chenbr0

Речь таки шла именно что о сравнении безопасности Windows и Linux. Изучить одну сторону (дыры в Linux) недостаточно для сравнения. Нужно изучить дыры в Windows тоже, а уже потом сравнивать, где эпичнее.

Vsevolod-linuxoid ★★★★★ ()
Ответ на: комментарий от Shonad

Я не интересовался темой так плотно. Но ты привел мнение только одного эксперта и ссылки на мнения тех экспертов, на которых он же и ссылался.

То есть мнение одного человека и тех, кого он считает единомышленниками. Это не может считаться всесторонним.

Vsevolod-linuxoid ★★★★★ ()
Ответ на: комментарий от Vsevolod-linuxoid

Я не заявлял, что я как-то всесторонне изучил тему. Я заголовке явно отразил, что это адаптация одного блога одного специалиста. Я просто поделился этой информацией с теми, кто возможно плохо знает английский или кто еще не видел этот блог.

Shonad ()
Ответ на: комментарий от Vsevolod-linuxoid

Вот я смотрю в теме про эксчейндж столько информации про дыры в опенсорс почтовиках 😁

chenbr0 ()

Читать это не буду. Тут два варианта:

  • очернить чтобы доломать
  • преувеличить недостатки, чтобы преуменьшить у чего-то другого.
boowai ★★★★ ()
Ответ на: комментарий от Vsevolod-linuxoid

+1. Простой беглый гуглинг легко позволяет нарыть хотя бы одного эксперта, утверждающего что винда небезопасна, и ещё хотя бы одного - что макось небезопасна.

tiinn ★★★★ ()

Сравнивать их с серьезными и продуманными решениями на виндовс и макос не имеет смысла.

Все, верю-верю пошел ставить винду.

aplay ★★★★★ ()

По ссылке не ходил конечно же! Но из приведенного здесь, я не увидел объяснения почему же всег-таки ядро Linux опасно? Подозреваю, что там не все безопасно конечно же. Но вот хотелось бы знать конкретику. Примеры.

В Astra Linux Special Edition есть механизм подписей исполняемых бинарников. Называется режим замкнутой среды. Т.е. ничего чужого, если оно не подписано, не запустишь. И еще есть мандатная система доступа. Как работает - хз.

Смысл в том, что линукс развивается. Понятно, что те методы работы, которые были популярны в 90-х, когда начали писать ядро, уже не очень безопасны. Время другое. Компы стали мощнее. Линукс тоже не стоит на месте.

hibou ★★★★★ ()
Ответ на: комментарий от vvn_black

переместить бы в security, или в talks.

А новореги могут комментить в толксах? А то вы так ТСа грубо очень осадили, логичнее было бы удалить тему, чем переносить.

Сойдет. С одной стороны ТС уже донес свою точку зрения. С другой - за ответы тут скор начислять не стоит. Вообще, я скорей за плавное замораживание, подавление, чем удаление, но это надо пасти тему. А у ТС тема больше подходит под формат мининовости, которую бы не подтвердили.

boowai ★★★★ ()

Использую астралинукс фстэк/фсб если хочется удовлетворить чьи-то хотелки. ИБшники вообще не самые полезные ребята с не очень понятным выхлопом от их работы.

system-root ★★★★★ ()

Для того чтобы доказать что какая-то программа небезопасна, стоит хотя бы работающие эксплойты приводить, хоть для Windows, хоть для Linux. Без примеров всё это звучит голословно.

Artamudo ★★★ ()

Ну Джо работает, так что…

А так прочитал пост. Оригинал даже лень — кэпство.

Ну для некоторых «линуксоидов» бывает что шок такое.

В Debian дырявый Chromium, ибо нет силёнок тянуть

ты ничего не понимаешь! Там бэкпорты секурных уязвимостей!

Это обычная картина 🖼 для фанатиков. О безопасности у них весьма смутные познания, зачастую ограничиваются

Линукс это круто, пароль надо вводить, есть AppArmor и SeLinux, не знаю как они работают, но всё защищено

fornlr ★★★★★ ()
Последнее исправление: fornlr (всего исправлений: 2)
Ответ на: комментарий от Zhbert

Как это выглядит со стороны - ты пришел, принес какую-то портянку, ценность которой сомнительна, и предлагаешь это обсуждать. Зачем?

Чувак, это форум. Тут обсуждают вещи. Если тебе это не нравится, разверни notepad.exe на весь экран и читай его.

hateyoufeel ★★★★★ ()
Ответ на: комментарий от Artamudo

Для того чтобы доказать что какая-то программа небезопасна, стоит хотя бы работающие эксплойты приводить, хоть для Windows, хоть для Linux. Без примеров всё это звучит голословно.

Окститесь! Больше трёх лет прошло, а ни одного вируса, эксплуатирующего meltdown и spectre, не зарегистрировано. Нынче доказательства приводить не принято, достаточно громко кричать.

tiinn ★★★★ ()
Ответ на: комментарий от tiinn

Так просто не работает. Так везде и всяко подпирают.

Тебе нужен альтернативный мир 🌍, где бы все забили.

Ну и на VPS это реально не смешно. А потом ещё найди следы как утекли данные…

Да и даже на десктопах тема богатая https://www.opennet.ru/opennews/art.shtml?num=54751 и это сейчас будут подпирать, а не «как бабахнет хорошо, то мы зачешемся».

fornlr ★★★★★ ()
Последнее исправление: fornlr (всего исправлений: 2)

на виндовс и макос (вроде TPM, полноценной работы Secure Boot, защитников приложений, жесткого разграничения памяти, разработки важных системных компонентов для safe memory япах, подписи приложений, система разграничения прав)

про TPM:

https://www.kernel.org/doc/Documentation/tee.txt

про Secure Boot (это вообще ОС мало касается):

https://boundarydevices.com/high-assurance-boot-hab-dummies/

про жесткое разграничение:

https://lwn.net/Articles/578295/

https://lwn.net/Articles/820830/

В линуксе отсутствует как таковая изоляция процессов гпу (привет долгожданные аппаратные ускорения видео в браузерах и webgl - мое примечание).

аппаратное ускорение видео (VPU) и GPU это тёплое с мягким

линукс остается чемпионом по отсутствию безопасности

нет

spbob ()
Ответ на: комментарий от tiinn

Больше трёх лет прошло, а ни одного вируса, эксплуатирующего meltdown и spectre, не зарегистрировано.

https://www.securitylab.ru/news/491160.php

«Исследователи безопасности из лаборатории AV-Test выявили более 130 образцов вредоносного ПО, эксплуатирующего опасные уязвимости Spectre и Meltdown.»

greenman ★★★★★ ()
Последнее исправление: greenman (всего исправлений: 1)
Ответ на: комментарий от spbob

про жесткое разграничение:

Ты привёл ссылки на примеры гипервизоров, которые к линуксу отношения не имеют и в типичной линуксовой среде вообще неприменимы. И так на ЛОРе со всем.

hateyoufeel ★★★★★ ()
Ответ на: комментарий от fornlr

Так просто не работает. Так везде и всяко подпирают.

Ну, хорошо. Проблема, видимо, существует. Но почему за три года не нашлось ни одного подтверждения, что spectre и meltdown привели к каким-либо утечкам данных? В мире дефицит квалифицированных хакеров? Не думаю. Все разом накатили обновления и закрыли данные уязвимости? Вот этого точно не было. Утечки маскируются под что-то другое? Это уже теории заговора какие-то, мне проще поверить в неадекватного админа, слившего базу на сторону, чем в то, что ради сокрытия spectre и meltdown данный админ был выдуман.

Так что в итоге? Получается, уязвимость - не такая уж и уязвимая, как об этом кричали из всех утюгов. Стало быть, и проблема, поднимаемая ТСом - не такая уж проблема, по всей видимости.

tiinn ★★★★ ()
Ответ на: комментарий от tiinn

Я тебе конкретную ссылку привёл https://www.opennet.ru/opennews/art.shtml?num=54751

И принцип описал. Если это непонятно, то ничего не поделаешь.

ЗЫ: у меня было несколько случаев с линуксами в практике по принципу «кому мы нужны». Заканчивалось смешно…

fornlr ★★★★★ ()
Последнее исправление: fornlr (всего исправлений: 1)
Ответ на: комментарий от fornlr

И принцип описал. Если это непонятно, то ничего не поделаешь.

Google продемонстрировал эксплуатацию уязвимостей

Очень хорошо! Почему никто не сумел массово воспроизвести для личного обогащения?

ЗЫ: у меня было несколько случаев с линуксами в практике по принципу «кому мы нужны». Заканчивалось смешно…

Случаи были именно из-за spectre/meltdown?

tiinn ★★★★ ()
Последнее исправление: tiinn (всего исправлений: 1)
Ответ на: комментарий от tiinn

не такая уж проблема, по всей видимости.

Типа того. Ибо когда это уровень одного процента, то сойдёт.

Вот в Debian дырявый Chromium и ладно. А было бы подобное с Windows, то все бы ринулись пытаться это эксплуатировать.

fornlr ★★★★★ ()
Ответ на: комментарий от tiinn

Очень хорошо! Почему никто не сумел массово воспроизвести для личного обогащения?

Ответ уже написан мной.

fornlr ★★★★★ ()
Ответ на: комментарий от Morin

Хакеры пошли зарабатывать деньги, мерятся мпх нынче не в моде)))

Ну, раньше как-то всплывало, на какой уязвимости хакеры зарабатывают деньги. Безопасники нынче совсем руля не видят - не могут сказать, из-за чего их корпорацию обокрали?

tiinn ★★★★ ()
Ответ на: комментарий от hateyoufeel

Ты привёл ссылки на примеры гипервизоров, которые к линуксу отношения не имеют

приведи пример жесткого разграничения у Windows

и в типичной линуксовой среде вообще неприменимы

они предоставляют средства для IPC - что ещё нужно от гипервизора ?

spbob ()
Ответ на: комментарий от fornlr

Типа того. Ибо когда это уровень одного процента, то сойдёт.

Ну, ок. Вот и ответ ТСу. на

Ведь если бы проблем было меньше или их вообще бы не было, то на Джо ссылаться бы не имело смысла.

Можно ответить, мол, да, всё так, но, поскольку в большинстве случаев сферический линуксоид в вакууме - таки ж Джо, экономического смысла беспокоиться тоже не много.

tiinn ★★★★ ()
Ответ на: комментарий от tiinn

Да и сейчас всплывает, только никто больше не занимается шалостями с подписью в коде «тут был вася» :)

безопасники (давай про нормальных) с большим удовольствием положат в копилку очередную дырень, да и Васю наймут в придачу, пригодится. Мы вполне вступили в эпоху киберпанка, пора это уже принять

Morin ★★★ ()
Ответ на: комментарий от tiinn

Типа того.

Но реальность непростая бинарность.

Вот кому сдалось бы в тупую игру типа 2024 вкладывать майнер и совать в Ubuntu Store? Там ржать же можно от выигрыша с десяти человек, кто это поставит… А хоп и есть.

Так же вон идёт какое-то массовое внедрение типа импортзамещение или чего прочее. И это уже не такая смешная цель получается.

Может бомбануть.

fornlr ★★★★★ ()
Последнее исправление: fornlr (всего исправлений: 1)

Вторая часть поста явная заказуха против файерфокса :)

А в целом читается как бред конспиролога с только одними утверждениями и без фактов. Удивлён, что автор в конце не пришёл к совету а-ля «если вам необходимо использовать линукс, то используйте его в, защищённом надёжным гипервизором от MS, WSL2.»

cocucka ★★★★★ ()
Закрыто добавление комментариев для недавно зарегистрированных пользователей (со score < 50)